3. 镜像安全水位概念：安全水位线、安全基线、安全阈值与组织级策略

在云原生环境中，镜像安全并非“全有或全无”的二元状态。由于业务迭代速度、基础镜像更新频率以及漏洞库的持续膨胀，要求所有镜像达到“零漏洞”既不现实，也会严重拖慢交付效率。因此，业界引入了安全水位的概念，通过量化的水位线、基线与阈值，将安全治理从“人工审批”转变为“自动化门禁”。

3.1 核心术语定义

3.2 安全水位线的构成模型

安全水位线并非单一数字，而是由多个维度的阈值聚合而成的复合指标。以下是一个典型的水位线计算模型：

# 伪代码：安全水位线评分逻辑
def calculate_waterline(image_scan_result):
    score = 100
    # 1. 漏洞维度（权重 50%）
    if image_scan_result.critical_vulns > 0:
        score -= 30  # 致命漏洞直接扣 30 分
    if image_scan_result.high_vulns > 5:
        score -= 10  # 高危漏洞超过 5 个扣 10 分
    # 2. 配置维度（权重 30%）
    if image_scan_result.running_as_root:
        score -= 20  # 以 root 运行扣 20 分
    # 3. 签名维度（权重 20%）
    if not image_scan_result.has_valid_cosign_signature:
        score -= 20  # 无有效签名扣 20 分
    return max(0, score)

# 水位线门禁：评分 >= 60 分 且 无致命漏洞 且 签名有效
def is_waterline_passed(score, has_critical, has_signature):
    return score >= 60 and not has_critical and has_signature

3.3 安全基线的定义与维护

安全基线是镜像安全的“地基”。组织应针对常用基础镜像（如 alpine:3.19、ubuntu:22.04、nginx:1.25）定义基线文件，包含：

• 最小化原则： 移除所有非必要包（如 curl、vim、gcc）。
• 用户配置： 必须使用非 root 用户运行应用。
• 文件权限： 关键目录（如 /tmp、/var/run）必须设置 sticky bit 或 noexec。
• 补丁版本： 基础镜像必须锁定到经过安全测试的 digest 版本，禁止使用 latest 标签。

3.4 安全阈值的分级策略

安全阈值定义了“什么可以接受，什么必须拒绝”。建议按漏洞严重等级和类型设置差异化阈值：

3.5 组织级安全水位策略定义流程

定义一套可落地、可审计的组织级安全水位策略，建议遵循以下步骤：

1. 资产盘点： 梳理组织内所有镜像仓库、基础镜像类型及业务分级（核心业务/非核心业务）。
2. 基线锁定： 为每类基础镜像创建安全基线 Dockerfile，并推送至内部镜像仓库的 baseline/ 命名空间。
3. 阈值协商： 安全团队与开发团队共同确定各等级漏洞的容忍上限（参考 3.4 节表格）。
4. 水位线公式： 定义复合评分公式（参考 3.2 节伪代码），并设定通过分数（如 60 分）。
5. 自动化门禁： 在 CI/CD 流水线中集成 Trivy / Grype 扫描 + Cosign 签名验证，将水位线检查作为 deploy 阶段的前置条件。
6. 持续校准： 每季度根据新出现的 0-day 漏洞和业务变化，调整阈值与基线版本。

3.6 安全水位策略架构图

下图展示了从镜像构建到生产部署的全链路安全水位控制流程：

3.7 水位线策略的版本化与审计

安全水位策略本身也应作为代码进行管理（Policy as Code）。推荐使用 OPA (Open Policy Agent) 或 Kyverno 将策略存储于 Git 仓库，实现版本化、Code Review 和自动部署。

# 示例：OPA 策略片段（水位线检查）
package image_waterline

# 致命漏洞必须为 0
deny[msg] {
    input.critical_vulns > 0
    msg = sprintf("镜像 %v 存在致命漏洞，水位线未通过", [input.image_name])
}

# 高危漏洞超过 3 个则阻断
deny[msg] {
    input.high_vulns > 3
    msg = sprintf("镜像 %v 高危漏洞 %v 个，超过阈值 3", [input.image_name, input.high_vulns])
}

# 必须包含有效 Cosign 签名
deny[msg] {
    input.has_valid_signature == false
    msg = sprintf("镜像 %v 缺少有效 Cosign 签名", [input.image_name])
}